Kaip tinkamai gauti asmens sutikimą dėl jo duomenų tvarkymo?
Nuo 2018 m. gegužės visoje ES įsigalios naujas Asmens duomenų apsaugos reglamentas, griežtinantis reikalavimus sutikimui dėl asmens duomenų naudojimo. Jam įsigaliojus, asmens sutikimas turės būti išreikštas „aiškiu aktu“, todėl numanomų sutikimų, kokius dažniausiai naudojame šiandien, nebepakaks.
Dažnai pasitaikantys sutikimo gavimo būdai, pvz., slapukų (angl. cookies) atvejais – patarimas dėl naršyklės nustatymų reguliavimo arba, pavyzdžiui, pranešimas, kad „naudodamiesi šiuo puslapiu, jūs sutinkate su slapukais“, nebebus tinkami. Lygiai taip pat netiks ir šiuo metu dažnai matomi iš anksto pažymėti sutikimai dėl asmens duomenų tvarkymo. Įmonės turi pasirūpinti, kad sutikimas asmens duomenų tvarkymui atitiktų reglamento nuostatas.
Sutikimas dėl asmens duomenų rinkimo turi būti gaunamas „nustatytais, aiškiai apibrėžtais ir teisėtais tikslais“. Kitaip tariant, asmeniui turi būti aišku, kam jo duomenys bus naudojami. Jei duomenis ketinama naudoti keliais tikslais – sutikimas turi būti gaunamas dėl kiekvieno iš šių tikslų. Be to, sutikimas turi būti gautas laisva valia – įmonės nebegalės reikalauti duomenų, kurie nėra būtini sutarties vykdymui.
Reglamentas numato, kad įmonės turės galėti įrodyti, jog asmuo sutiko su duomenų tvarkymo operacija, todėl sutikimo gavimui rekomenduotina atsisakyti „browse-wrap“ metodo, kai vartotojas svetainėje pats turi ieškoti jam taikytinų teisinių susitarimų (privatumo politikos, bendrųjų sąlygų). Vietoje to, patartina naudoti „click-wrap“ sutikimo gavimo metodą, kur vartotojas aiškiai sutinka su duomenų valdytojo parengtais teisiniais susitarimais. Puikus tokio metodo pavyzdys yra dabartinė „Facebook“ svetainė, kurioje paskyrą norinčiam susikurti asmeniui yra aiškiai nurodoma, kad „paspausdami Registracija, Jūs sutinkate su mūsų sąlygomis ir esate perskaitę duomenų politiką, įskaitant ir slapukų naudojimą“.
Ypatingą dėmes įreikėtų skirti vaikų duodamam sutikimui, gautam jiems tiesiogiai siūlant informacinės visuomenės paslaugas. Minimalus sutikimą galinčio duoti vaiko amžius yra bent 16 metų. Reglamentas valstybėms leidžia numatyti jaunesnio amžiaus ribą, bet ne mažesnę nei 13 metų.Kitais atvejais asmens duomenų tvarkymui yra būtinas tėvų pareigų turėtojo leidimas. Be to, informacija ir pranešimai, kai duomenų tvarkymas orientuotas į vaiką, turėtų būti suformuluoti vaikui lengvai suprantama aiškia ir paprasta kalba.
Galiausiai, reglamentas reikalauja, kad sutikimą būtų taip pat lengva atšaukti, kaip ir jį duoti. Todėl iki reglamento įsigaliojimo įmonėms reikėtų išanalizuoti šiuo metu siūlomus sutikimo atšaukimo būdus ir, jei reikia, juos koreguoti. Paprasčiausia išeitis būtų sutikimo atšaukimui naudoti tokį patį metodą, kaip ir sutikimo gavimui.
